शोधापासून अधिसूचनेपर्यंत: चार टप्पे
टप्पा 1: शोध (T+0 ते T+2 तास)
जाणीव कशामुळे झाली: निरीक्षणातून इशारा, विक्रेत्याचे उघड करणे, ग्राहक तक्रार, पत्रकाराची चौकशी, नियामक संपर्क? प्रत्येकासाठी वेगळी सुरुवातीच्या टप्प्यातील हाताळणी लागते. नियंत्रण ही तात्काळ प्राथमिकता — प्रवेश मार्ग बंद करा, प्रभावित प्रणाली वेगळ्या करा, पुरावा जतन करा.
टप्पा 2: वर्गवारी (T+2 ते T+12 तास)
क्रॉस-फंक्शनल घटना प्रतिसाद संघ बसतो (तांत्रिक, कायदेशीर, संवाद, व्यवसाय मालक, कार्यकारी प्रायोजक). प्रारंभिक व्याप्ती मूल्यांकन: कोणता डेटा, किती नोंदी, कोणता हल्ला मार्ग. तीव्रता वर्गीकरण: हे अधिसूचनायोग्य आहे का? DPDP ची मर्यादा व्यापक आहे — 'अनधिकृत प्रक्रिया' किंवा 'अपघाती उघड करणे' असलेले कोणतेही 'वैयक्तिक डेटा उल्लंघन' Section 8(6) ला चालना देते.
टप्पा 3: अधिसूचना (T+12 ते T+72 तास)
अधिसूचनायोग्य असल्यास, विलंब न करता दोन वेगळ्या अधिसूचना गेल्या पाहिजेत:
- Data Protection Board of India ला: Rule 7 नुसार तपशीलवार अहवाल — उल्लंघनाचे स्वरूप, श्रेणी आणि नोंदींची अंदाजे संख्या, संभाव्य परिणाम, केलेल्या उपाययोजना.
- प्रत्येक प्रभावित Data Principal ला: स्पष्ट, साध्या-भाषेतील सूचना — काय घडले, कोणता डेटा, त्यांनी कोणती पावले उचलावीत, मदतीसाठी कोणाशी संपर्क साधावा.
'विलंब न करता' म्हणजे 72 तास नाही. 72-तासांचा आकडा GDPR चा आहे — DPDP निर्दिष्ट करत नाही, पण अंमलबजावणी अपेक्षा तशाच असण्याची शक्यता आहे. संपूर्ण तपासाची वाट पाहू नका; माहीत असलेल्यासह प्रारंभिक अधिसूचना पाठवा, आणि अधिक स्थापित झाल्यावर अद्यतनित करा.
टप्पा 4: नियंत्रण, पुनर्प्राप्ती, धडे (T+72 तासांनंतर)
संपूर्ण फॉरेन्सिक तपास, मूळ-कारण विश्लेषण, उपाय योजना, नियामक पाठपुरावा, ग्राहक संवाद, घटनोत्तर आढावा. घटनोत्तर आढावा निर्णायक आहे — Section 8(5) अंतर्गत दायित्व मर्यादित करणारा 'वाजवी उपायांचा' पुरावा तोच आहे.
संवादाची रचना
आधीच तयार केलेले अधिसूचना टेम्पलेट (Template 05 वापरा) खऱ्या घटनेदरम्यान 6+ तास वाचवतात. टेम्पलेटमध्ये घटना-विशिष्ट डेटासाठी स्थानधारक असावेत, पण रचना, सूर आणि आवश्यक घटक स्थिर असावेत.
अंतर्गत संवाद: प्रत्येक प्राथमिक संपर्कासाठी पर्यायांसह प्रस्थापित एस्कलेशन वृक्ष. T+0 वर वॉर-रूम चॅनेल स्थापित.
निर्णय अधिकार
कोणाकडे अधिकार आहे ते नोंदवा: घटना घोषित करणे, Board पर्यंत एस्कलेट करणे, अधिसूचना सुरू करणे, नंतरच्या कोणत्याही दाव्याच्या तडजोडीस सहमत होणे, सार्वजनिकरित्या संवाद साधणे. हे निर्णय घटनेदरम्यान पहिल्यांदा घेता येत नाहीत.
रनबुक
Template 04 (72-Hour Breach Runbook) हा सर्व सहा टप्पे (T+0 ते T+30) व्यापणारा आमचा 25-पानी संदर्भ आहे, भूमिका-विशिष्ट तपासणी सूची, तीव्रता वर्गीकरण, निर्णय वृक्ष आणि टेबलटॉप परिस्थितींसह. गरज पडण्यापूर्वीच हे वाचा.